SOC Analisti Nedir, Nasıl Olunur? Görevler, Araçlar ve Kariyer Yolu

SOC analisti nedir sorusunun kısa cevabı şu: bir kurumun güvenlik alarmlarını izleyen, hangisinin gerçek saldırı olduğuna karar veren ve gerçek olayı müdahale ekibine taşıyan savunma uzmanı. İngilizce ilanlarda SOC analyst diye geçer. Bu yazıda bir alarmın vardiyada nasıl karara dönüştüğünü, L1, L2 ve L3 farkını ve bu işe ücretsiz nereden başlayacağını adım adım göreceksin.

SOC analisti nedir?

SOC analisti, kurumun Güvenlik Operasyon Merkezi'nde çalışan ve güvenlik alarmlarını karara bağlayan kişidir. SOC, Security Operations Center'ın kısaltmasıdır. Microsoft'un güvenlik ekipleri rehberi bu ekibin işini, saldırganın kurum varlıklarına erişimini hızla bulup ortadan kaldırmak diye tanımlar.

Analist günlük (log) kayıtlarını, ağ trafiğini ve bilgisayarlardan gelen uyarıları izler. Gününün büyük bölümünü üç soruyla geçirir: bu alarm gerçek mi, ne kadar ciddi ve kime bildirilmeli?

SOC ekibini bir binanın güvenlik kameralarını izleyen ekibe benzetebilirsin. Kamera görüntüsü tek başına bir şey söylemez, onu izleyip anlam çıkaracak biri gerekir. SIEM sistemleri, güvenlik duvarları ve uç nokta koruma araçları gün boyu olay üretir. Hangisinin gerçek tehdit olduğuna SOC analisti karar verir.

Hız bu işin merkezindedir. Ekip bir ihlali ne kadar erken fark ederse zarar o kadar küçük kalır. Birçok SOC bu hızı ortalama tespit süresi (MTTD) ve ortalama müdahale süresi (MTTR) gibi ölçülerle izler.

SOC analisti ne iş yapar?

SOC analisti alarmı karşılar, kanıta bakar, karar verir ve gerekirse olayı bir üst kademeye yükseltir. Bir vardiyadaki iş akışı çoğu kurumda aşağıdaki adımlarla ilerler:

Triyajda en önemli bilgi bağlamdır. Bir sunucu her gece yedekleme için yüksek trafik üretiyorsa bu trafik alarm gibi görünse de normaldir. Bu bilgi zamanla, aynı ortamı tekrar tekrar izleyerek kazanılır.

Çoğu SOC, tekrar eden alarm türleri için oyun kitabı (playbook) kullanır. Playbook, "şüpheli giriş" gibi bir alarm geldiğinde izlenecek adımları sırayla yazar: hangi log kontrol edilir, hangi soru sorulur, ne zaman yükseltilir. Böylece analist her seferinde sıfırdan düşünmez ve müdahale tutarlı olur.

Bu altı adımı tarayıcıda denemek istersen SOC Vardiya aynı akışı canlandırır. Alarmı seçersin, kanıtı incelersin ve kararını gerekçesiyle yazarsın.

L1, L2 ve L3 SOC analisti arasındaki fark nedir?

L1 alarmı karşılar ve ayıklar, L2 yükseltilen olayı derinlemesine inceler, L3 ise alarmların yakalamadığı tehdidi arar ve yeni tespit kuralı yazar. Tier 1, Tier 2 ve Tier 3 ifadeleri aynı kademeleri anlatır.

Bu adlar evrensel bir standart değildir. Microsoft'un rehberi birinci kademeyi triyaj analisti, ikinci kademeyi inceleme analisti diye adlandırır. Tehdit avı, tehdit istihbaratı ve tespit mühendisliğini ise ayrı roller olarak sayar. Aynı rehbere göre küçük kurumlar bu işleri daha az kişide birleştirir. Sürekli nöbet ya da özel uzmanlık isteyen işleri yönetilen güvenlik hizmeti olarak dışarıdan alabilir.

L2 ve L3'ün yürüttüğü olay müdahalesinde sık başvurulan çerçevelerden biri NIST SP 800-61'dir. Nisan 2025'te yayımlanan 3. revizyon, olay müdahalesini NIST Siber Güvenlik Çerçevesi (CSF) 2.0 ile hizalar.

Bir alarmın gerçek olup olmadığı nasıl anlaşılır?

Bir alarmı gerçek yapan, kanıtların aynı yöne işaret etmesidir. Bunu bir örnekle görelim. Altay Kargo adlı kurgusal bir lojistik şirketinin SOC ekibinde gece vardiyasındasın. Saat 03.14'te SIEM'de bir alarm düşer. Muhasebedeki bir kullanıcı hesabı, mesai dışında, daha önce hiç bağlanmadığı bir ülkeden VPN ile giriş yapmıştır.

Önce bu girişin kullanıcının normal örüntüsüne uyup uymadığına bakarsın. Son 30 günlük giriş geçmişini açar ve konum tutarsızlığını doğrularsın. Kimlik kayıtları girişten hemen önce aynı hesap için beş başarısız deneme gösterir. Windows'ta bu tür izleri Güvenlik günlüğünde okursun: başarısız oturum açma 4625, başarılı oturum açma 4624 olayıyla kaydedilir. Hangi olay kimliğinin ne anlattığını Windows olay kimlikleri yazısında tablo hâlinde bulursun.

Bu örüntü hesabın ele geçirilmiş olabileceğini düşündürür. Olayı L2'ye yükseltirsin. Hesap geçici olarak askıya alınır ve olay kaydı açılır. Böylece müşteri verileri ve kargo takip sistemi tehlikeye girmeden müdahale başlar.

Aynı gece benzer bir alarm başka bir çalışan için de düşer. Bu kez giriş yurt dışı iş seyahatinden gelir ve BT ekibine önceden bildirilmiştir. Bağlamı doğrularsın ve alarmı izinli faaliyet olarak kapatırsın. İki örnek yan yana SOC işinin özünü gösterir: aynı türden iki alarm, farklı bağlamda farklı karar ister.

Aynı şirketin dosya sunucusunda geçen bir parola püskürtme vakasını kendin çözebilirsin. Parola Püskürtme İzi saha görevinde 4625 olaylarını PowerShell ile listeler, ele geçen hesabı bulur ve kapatırsın.

Tarayıcıda bir SOC vardiyası nasıl denenir?

Akademideki SOC Vardiya tarayıcıda çalışan, ücretsiz bir SOC analisti simülasyonudur. Kurulum gerekmez, hesap açmadan da başlayabilirsin. İlerlemen kullandığın tarayıcıda saklanır. Bir vardiya şöyle ilerler:

1. Modunu seç. Sınırsız modda süre yoktur, vardiyayı duraklatabilirsin. Süreli modda 20 dakikan vardır, öncelik verip açık işleri devredersin. Hayatta kalma modunda yük artar, bekleyen ve hatalı kapanan olaylar operasyon sağlığını düşürür.
2. Alarmı seç ve kanıtı incele. Her vakada kural, ağ ve cihaz kanıtı vardır. Gelişmiş ayarlardan kural görünümünü Splunk ya da QRadar biçimine çevirebilirsin.
3. Kararını ver. Üç seçenek vardır: doğrulanmış güvenlik olayı, izinli ya da beklenen faaliyet, yanlış pozitif. Olay ailesini seçer ve gerekçeni yazarsın.
4. Müdahale et. Cihazı ağdan izole etmek, süreci durdurmak, göstergeyi engellemek, müdahale ekibine yükseltmek ya da izlemeye almak gibi adımlardan uygun olanı seçersin.

Ham log okumayı ayrıca çalışmak istersen Log Avı laboratuvarı auth.log, access.log ve Windows olay kayıtlarını yan yana koymanı ister. Başka ücretsiz SOC pratik platformlarını ücretsiz SOC simülasyonu yazısında karşılaştırdık.

SOC analisti hangi araçları kullanır?

SOC analistinin temel aracı SIEM'dir. Yanında uç nokta, ağ ve kayıt araçları kullanır.

MITRE ATT&CK, gerçek dünya gözlemlerine dayanan ve saldırgan taktik ve tekniklerini toplayan herkese açık bir bilgi tabanıdır. SIEM'in logları nasıl toplayıp kurala çevirdiğini SIEM nedir yazısında anlattık.

Teknik araçların yanında iletişim becerisi de gerekir. Tespit ettiğin olayı hem teknik ekibe hem de teknik olmayan bir yöneticiye anlatabilmelisin. Baskı altında sakin kalmak da aynı ölçüde önemlidir, çünkü panik doğru kararı geciktirir.

SOC analistliğinin zor tarafları neler?

En sık zorluk alarm yorgunluğudur (alert fatigue). Gün boyu çok sayıda alarm görürsün ve bunların önemli bir kısmı yanlış pozitif çıkar. Dikkat dağılabilir, hem de en kritik alarmın geldiği anda. İyi ayarlanmış kurallar ve iyi yazılmış playbook'lar bu yorgunluğu azaltır ama tamamen bitirmez. Yanlış pozitifin neden bu kadar pahalı olduğunu false positive nedir yazısında okuyabilirsin.

Vardiyalı çalışma da işin doğal parçasıdır, çünkü saldırılar mesai saatine bakmaz. Gece vardiyası, hafta sonu nöbeti ve tatilde çalışma olabilir. Gece trafiği azdır ve anormal bir hareket daha kolay göze çarpar, ama destek ekibi de küçüktür. Karşılığında SOC analistliği, siber güvenliğin pek çok dalına açılan geniş bir kapıdır. Bu ritmin sana uyup uymadığını öbür rollerle karşılaştırmak için siber güvenlikte hangi alan sana uygun yazısına bak.

Türkiye'de SOC analisti nerelerde çalışır?

SOC analisti kendi SOC'unu kuran kurumlarda, başka kurumlara izleme hizmeti veren güvenlik şirketlerinde ve kamu kurumlarının müdahale ekiplerinde çalışır.

Kamu tarafında ayrı bir yapı vardır: SOME (Siber Olaylara Müdahale Ekibi). 7545 sayılı Siber Güvenlik Kanunu SOME kurmayı, kurdurmayı ve denetlemeyi Siber Güvenlik Başkanlığının görevleri arasında sayar. USOM sitesinde yayımlanan 2014 tarihli Kurumsal SOME rehberi, kamu kurumlarında ve kritik altyapı sektörlerindeki özel kurumlarda kurulan Kurumsal SOME'leri anlatır. Rehberde sayılan kritik altyapı sektörleri enerji, elektronik haberleşme, finans, su yönetimi, kritik kamu hizmetleri ve ulaştırmadır. Bu ekiplerin işi kurumdaki siber riskleri azaltmak ve olay olduğunda müdahale etmektir. Log okuma ve olay kaydı gibi SOC becerileri burada da doğrudan işe yarar.

Maaş kademeye, şehre ve kuruma göre çok değişir. Güncel aralıklar için siber güvenlik maaşları yazısındaki rol tablosuna bak.

SOC analisti nasıl olunur?

SOC analisti olmak için önce ağ ve işletim sistemi temelini, sonra log okumayı öğrenirsin. Ardından bunu düzenli pratikle gösterilebilir hâle getirirsin. Yol haritası şöyle:

1. Temeli kur. TCP/IP, DNS, HTTP, Linux ve Windows bilmeden bir log kaydını anlamlandırmak zordur. Siber Güvenlik Temelleri yolu bunu sırayla verir.
2. Log okumayı öğren. auth.log, web sunucusunun access.log dosyası ve Windows Güvenlik günlüğü ilk üç durağındır. Satırları alan alan okumayı log analizi nedir yazısında anlattık. Mavi Takım yolu log okuma, tespit kuralı, olay müdahalesi ve tehdit avını bu sırayla işler.
3. Evde küçük bir lab kur. Bir sanal makineye Wazuh gibi ücretsiz bir SIEM kur ve kendi başarısız giriş denemelerini orada gör. İlanlardaki "SIEM deneyimi" maddesine somut bir cevap verirsin.
4. Düzenli vardiya pratiği yap. SOC Vardiya'da Süreli modu haftada birkaç kez dene. Her vardiyadan sonra yanlış verdiğin kararı not al.
5. Portföy tut. Çözdüğün senaryoları, incelediğin log setlerini ve vardığın sonuçları kısa raporlar hâlinde yaz.
6. Sertifikayı sonra seç. CompTIA Security+ ve CySA+ yaygın seçeneklerdir. Microsoft tarafında SC-200 (Security Operations Analyst Associate) doğrudan bu rolü hedefler. SC-200 sınavı Kasım 2026 itibarıyla Türkçe sunulmuyor. Sertifika hazırlık sayfasında bu üçü için Türkçe pratik sorular var.
7. Mülakata hazırlan. Seviye 1 mülakatında sık sorulan soruları SOC analisti mülakat soruları yazısında cevaplarıyla topladık.

Kurumlar bir SOC adayından kusursuz bilgi beklemez. Doğru sırayla soru sorabilmeni ve bulduğunu net anlatabilmeni bekler. Bir alarmı alıp "neye baktım, ne buldum, neden bu kararı verdim" diye üç cümleyle anlatabiliyorsan doğru yoldasın.

Kaynaklar

• Microsoft Learn: Security teams, roles, and functions (SecOps ve SOC rolleri)
• Microsoft Learn: 4625(F) An account failed to log on
• NIST SP 800-61 Rev. 3: Olay müdahalesi önerileri (Nisan 2025)
• Ulaştırma, Denizcilik ve Haberleşme Bakanlığı: Kurumsal SOME Kurulum ve Yönetim Rehberi (2014, USOM sitesinde)
• Microsoft Learn: Security Operations Analyst Associate (SC-200)